0netw0m1ra

# 디지털포렌식 2급 실기 시험에서 USB가 두 개 제공됨1 제출용 USB, 2 증거용 USB/이미징파일이 있는 USB - 증거용 USB일 경우 : 쓰기방지 적용 후 해당 USB를 이미징해야 함 - 이미징된 파일을 그냥 주는 경우 : 그냥 복사하면 # 쓰기방지 적용하기https://0netw0m1ra.tistory.com/340 "regedit" 2. \HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies 키 생성- 해당 "StorageDevicePolicies" 키는 기본적으로는 없음 - 새로 "StorageDevicePolicies" 키 생성하기- 키에 대응되는 값 " data-og-host="0netw0m1r..

# MBR, BR 왜 있나? 운영체제를 실행시키는 역할!EX) 컴퓨터 전원 키고 → BIOS → HDD(MBR로 이동) → MBR 속 파티션이 정해지면 1~4파티션 중에 그 파티션이 있는 섹터로 이동 → 그럼 BR로 가게되고 → 그 안에서 또 실제 윈도우가 위치한 섹터를 찾아서 → 윈도우 파일을 실행시키면 → 우리가 아는 윈도우가 실행됨 # MBR(Master Boot Record)- MBR 사이즈는 512bytes- 부트코드 446bytes- 부트코드 이후부터 64byte 공간을 파티션 테이블이 사용함- 파티션 테이블은 총 4개의 파티션을 기록하고, 1개의 파티션당 각각 16byte 사용함 BootFlag(1byte) : 값 0x80 부팅가능파티션을 의미 Starting HS Addr(3by..

1. [win]+[r] > "regedit" 2. \HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies 키 생성- 해당 "StorageDevicePolicies" 키는 기본적으로는 없음 - 새로 "StorageDevicePolicies" 키 생성하기- 키에 대응되는 값 생성하기(DWORD 32비트 값)- 값 이름은 "WritePortect"로 만들기- 값 '수정' 눌러서 1로 변경하면, 변경하고 난 후 연결되는 장치(USB)에만 쓰기방지 정책이 적용됨

# MAC TIME- Modified : 파일 내용이 수정된 시간- Accessed : 파일이 열린 시간- Created : 파일이 생성된 시간 # 일반적으로 C → A → M 순으로 시간이 흐르지만, C가 가장늦은 시간에 생성된 파일은 파일을 복사하거나, 압축파일 압축 해제를 한 경우임

# 고사장에서 제공되는 도구 # 시험에서 자주 사용하는 도구- Autopsy 4.21.0 : https://github.com/sleuthkit/autopsy/releases/#release-autopsy-4.21.0- FTK Imager 4.7.1.2 ▶ 기존에 설치해 둔 FTK Imager 4.7.3.81 사용- HxD 2.5.0.0 ▶ 기존에 설치해 둔 버전 사용- REGA 1.5.3 ▶ 기존에 설치해 둔 REGA 1.6.0.0 사용- LNK Parser 1.0 : https://dfrc.korea.ac.kr/infra_dfrc_tools/?bmode=view&idx=14694061 [참고사이트]https://exam.forensickorea.org/web/bbs/view/boardView.do?..

1. Fiddler를 설치2. [Tools]-[Options]-[HTTPS] 에서 "Capture HTTPS CONNECTs"와 "Decrypt HTTPS traffic"을 활성화하기3. 모두 "예" 선택한 후 fiddler를 다시 재시작하면 패킷 확인 가능

1. brew 설치하기https://0netw0m1ra.tistory.com/330 [iOS] VMware brew 설치[환경]- VMware 17- Ubuntu 24.04 [방법]1. 아래와 같이 linux 환경에서 brew를 설치할 수 있음0netw0m1ra.tistory.com 2. ipsw 설치하기sudo apt updatesudo apt install cmake g++ libfuse-dev libfuse3-dev libboost-dev libboost-filesystem-dev -ygit clone https://github.com/sgan81/apfs-fuse.gitcd ~/Desktop/iextractor/apfs-fusegit submodule update --init --recursiv..

[환경]- VMware 17- Ubuntu 24.04 [방법]1. 아래와 같이 linux 환경에서 brew를 설치할 수 있음

1. nvm 과 node.js 설치하기- nvm : 깃허브에서 'Download Now!' 선택하여 "nvm-setup.zip" 으로 설치하기https://github.com/coreybutler/nvm-windows#node-version-manager-nvm-for-windows- node.js : 바로 msi 파일 받아서 설치하기https://nodejs.org/en/download/ * cmd 에서 실행함. powershell에서는 npm 안됨. 이유는 추후에 찾아보겠음. 2. 기본 세팅 후 claude 설치하기> npm install -g @anthropic-ai/claude-code> claude -v> cd {원하는 경로}> claude 1) 모드 선택(자유롭게 선택) 2) 지불방식 선택 ..

1. frida 를 이용해 원하는 프로세스ID 확인> frida-ps -Ua 2. dump 하기frida-dexdump -U -p {pid} -d-d : deep search-o : output directory -> 미리 만들어 둘 것 3. 결과  https://github.com/hluwa/frida-dexdump GitHub - hluwa/frida-dexdump: A frida tool to dump dex in memory to support security engineers analyzing malware.A frida tool to dump dex in memory to support security engineers analyzing malware. - hluwa/frida-dexdumpg..